CVE-2025-62187
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Anki przed wersją 25.02.6, specjalnie spreparowane odwołania do plików dźwiękowych mogą spowodować zapis plików w dowolnych lokalizacjach na Windows i Linux (ścieżki plików multimedialnych nie muszą być względne do folderu multimediów).
Ocena ryzyka
Osoba atakująca może wykorzystać podatność do zapisu plików w dowolnych lokalizacjach systemu, co może prowadzić do nadpisania ważnych plików, umieszczenia złośliwego kodu lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Anki do wersji 25.02.6 lub nowszej, która zawiera poprawkę.
Inne podatności w Anki
Zobacz wszystkie- CVE-2026-64677Średnie
W Anki przed wersją 25.09.3 endpointy lokalnego serwera HTTP nie ograniczają odpowiednio żądanych ścieżek mediów i wbudowanych danych, co pozwala skryptom z udostępnianych talii lub złośliwym stronom internetowym (z obejściem sprawdzania pochodzenia) na odczyt lokalnych plików poprzez traversal katalogów.
- CVE-2026-59153Niskie
Anki przed wersją 25.09.3 uruchamia lokalny serwer HTTP, który nie blokuje żądań z innych źródeł. Złośliwa strona internetowa może wysyłać żądania do tego serwera, co może prowadzić do niepożądanych skutków ubocznych.
- CVE-2026-58266Średnie
Podatność w Anki przed wersją 25.09.4 umożliwia złośliwym pakietom kart z osadzonym iframe dostęp do wewnętrznego API localhost, co pozwala na odczyt dowolnych plików dostępnych dla procesu Anki i ich eksfiltrację przez sieć.
- CVE-2025-62186Średnie
Anki (Ankitects) przed wersją 25.02.5 pozwala przygotowanej współdzielonej talii w systemie Windows na wykonanie dowolnych poleceń podczas odtwarzania dźwięku z powodu nieprawidłowej obsługi schematów URL.
- CVE-2025-62185Średnie
W Anki (Ankitects) przed wersją 25.02.5 przygotowana współdzielona talia może umieścić plik wykonywalny pobierający z YouTube w folderze mediów, który jest uruchamiany dla linku YouTube w talii. Nazwa pliku może to być youtube-dl.exe, yt-dlp.exe lub yt-dlp_x86.exe.
Oryginalny opis (angielski, źródło NVD)
In Ankitects Anki before 25.02.6, crafted sound file references could cause files to be written to arbitrary locations on Windows and Linux (media file pathnames are not necessarily relative to the media folder).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS